https://techlog.122113.xyz/tags/%E5%8F%8D%E5%90%91%E4%BB%A3%E7%90%86/Recent content in 反向代理 on TechLog 技术日志Hugozh-cnSat, 03 Oct 2026 18:05:00 +0800https://techlog.122113.xyz/posts/2026-10-03-caddy-2116-2117-regression/Sat, 03 Oct 2026 18:05:00 +0800https://techlog.122113.xyz/posts/2026-10-03-caddy-2116-2117-regression/<blockquote> <p>Caddy 在 10 月 1 日和 10 月 3 日连续发布 v2.11.6 与 v2.11.7，中间只隔了一天多。2.11.6 是一次&quot;安全加固 + 特性&quot;的大补丁，但引入的默认空闲超时直接打断了流式响应，2.11.7 专门来修这些回归。本文记录两版的关键变化、破坏性变更与实测结论。</p> </blockquote> <hr> <h2 id="一时间线">一、时间线</h2> <table> <thead> <tr> <th>版本</th> <th>发布时间（UTC）</th> <th>性质</th> </tr> </thead> <tbody> <tr> <td>v2.11.4</td> <td>2026-06-03</td> <td>上一个稳定版</td> </tr> <tr> <td><strong>v2.11.6</strong></td> <td>2026-10-01 15:21</td> <td>安全加固 + 新特性，<strong>引入回归</strong></td> </tr> <tr> <td><strong>v2.11.7</strong></td> <td>2026-10-03 05:58</td> <td><strong>专修 2.11.6 回归</strong></td> </tr> </tbody> </table> <p>官方在 2.11.7 的说明里直接写：</p> <blockquote> <p>This patch release <strong>fixes regressions from 2.11.6</strong>&hellip; <strong>If you&rsquo;re on 2.11.6, we recommend upgrading.</strong></p> </blockquote> <p>也就是说：<strong>2.11.6 不值得停留，要么停在 2.11.4，要么直接上 2.11.7。</strong></p> <hr> <h2 id="二v2116安全修复是重点">二、v2.11.6：安全修复是重点</h2> <h3 id="安全修复11-项">安全修复（11 项）</h3> <p>最需要注意的三条：</p> <table> <thead> <tr> <th>修复</th> <th>说明</th> </tr> </thead> <tbody> <tr> <td><code>forward_auth</code> + <code>reverse_proxy</code> 同路由时，请求可能发到<strong>错误的上游连接</strong></td> <td>GHSA-6365-7ppr-5r92，反代认证场景，最重要</td> </tr> <tr> <td><code>handle_path</code> / <code>uri strip_prefix</code> 现在规范化路径</td> <td>防止<strong>绕过基于路径的鉴权</strong></td> </tr> <tr> <td><code>path_regexp</code> 归一化 Windows 反斜杠</td> <td>补完 CVE-2026-52844</td> </tr> </tbody> </table> <p>其余包括：101 Switching Protocols 响应剥离 hop-by-hop 头、Windows 8.3 短名每段路径都拒绝、FastCGI 不再把 <code>Proxy</code> 头当 <code>HTTP_PROXY</code> 传给后端（HTTPoxy）、粘性会话 cookie 哈希改为常量时间比较、Admin API 远程访问路径归一化、超大请求体返回 413、ETag 碰撞修复。</p>